CVE-2026-121561

Nome do Software Vulnerável e Versões Afetadas Label Studio versões anteriores a 1.23.2 label-studio-sdk versões anteriores a 2.1.2

Descrição Usuários autenticados podem realizar um server-side request forgery (SSRF), que ocorre quando um servidor é enganado para fazer requisições a um local não pretendido. Este problema permite a leitura de URLs internas através de formatos de exportação que suportam imagens. Um invasor pode importar tarefas onde a variável data.image aponta para serviços internos e, em seguida, exportá-las nos formatos YOLO ou COCO com imagens para ler as respostas. Além disso, ao falsificar o cabeçalho Host, um invasor pode capturar o token de API do proprietário da organização.

Recomendações Atualize o Label Studio para a versão 1.23.2 ou posterior. Atualize o label-studio-sdk para a versão 2.1.2 ou posterior.